El FBI sitúa a SafePay entre los grupos de ransomware más activos, con más de 600 víctimas

El FBI y agencias de Alemania y Reino Unido consideran a SafePay «uno de los grupos de ransomware más activos» y le atribuyen al menos 600 intrusiones contra organizaciones de Estados Unidos y Europa desde agosto de 2024. Sus objetivos incluyen empresas e infraestructuras críticas.

Según el aviso conjunto, el grupo obtiene acceso mediante contraseñas adivinadas, vulnerabilidades y campañas de phishing. Entre las vulnerabilidades empleadas figuran CVE-2020-3259, CVE-2023-20269, CVE-2023-27532, CVE-2024-40711 y CVE-2024-40766.

Una vez dentro de la red, los operadores crean cuentas o toman el control de las existentes, utilizan herramientas legítimas para desplazarse por los sistemas y localizar archivos de interés, y desactivan protecciones de seguridad. También emplean scripts automatizados contra sistemas expuestos a Internet y, en algunos casos, cambian las contraseñas de usuarios para dificultar la respuesta.

SafePay comprime y extrae archivos antes de desplegar el ransomware. Para transferirlo a los sistemas afectados utiliza herramientas legítimas de escritorio remoto, como AnyDesk o TeamViewer. Después cifra los datos y exige una parte de los ingresos de la víctima en criptomonedas a cambio de la clave de descifrado, mientras representantes del grupo realizan llamadas telefónicas para aumentar la presión.

El sitio de filtraciones de SafePay incluye actualmente decenas de empresas alemanas y organizaciones gubernamentales de América Latina y Estados Unidos. El grupo también se ha atribuido ataques contra un importante proveedor estadounidense de productos y servicios de TI, la empresa tecnológica británica Microlise y el contratista tecnológico gubernamental Conduent.

El ataque contra Conduent tuvo repercusiones en Estados Unidos por los servicios que presta la compañía en ámbitos como Medicaid, la manutención infantil, la asistencia alimentaria y los peajes de carreteras. Conduent anunció un acuerdo de 80 millones de dólares tras una demanda colectiva relacionada con el incidente. Fuente: The Record.